Tutoriel VirusTotal : scanner un fichier avec plusieurs antivirus

5.0
01

Le service utilise plusieurs moteurs antivirus afin d’analyser un fichier.
Vous envoyez un fichier et le service le soumet à plusieurs antivirus.
Enfin vous avez le statut pour chaque antivirus et le statut final.
Bien entendu comme tous antivirus, les définitions virales sont constamment mis à jour.

La page principale permet d’accéder aux divers fonctions du service Virustotal, ainsi vous pouvez :

  • Analyser un fichier sur plusieurs antivirus (onglet fichier)
  • Analyser une URL à plusieurs antivirus (onglet URL)
  • Recherche un fichier ou une URL, domaine dans une base de données (onglet recherche)
Tutoriel VirusTotal : scanner un fichier avec plusieurs antivirus

Analyser un fichier sur VirusTotal

Pour utiliser VirusTotal, rendez-vous sur la page principale :

Tutoriel VirusTotal : scanner un fichier avec plusieurs antivirus

Cliquez sur le bouton Importer et Analyser un fichier.
Ensuite naviguez dans vos dossiers afin de sélectionner le fichier.
Enfin l’analyse se lance.

L’analyse antivirus du fichier s’effectue et le résultat apparaît automatiquement.
Le résultat du scan apparaît, à gauche le total des antivirus qui estimes que le fichier est malveillant.
La liste des antivirus détectant le fichier sont en rouge.

Tutoriel VirusTotal : scanner un fichier avec plusieurs antivirus

Commentaires et communautés VirusTotal

Enfin, la communauté VirusTotal peut voter pour évaluer sur un fichier.
Cela afin de donner un statut final qui se trouve en haut de la détection.

Tutoriel VirusTotal : scanner un fichier avec plusieurs antivirus

En cliquant sur Commentaires, on peut lire les commentaires déposés par des utilisateurs.
Les jauges rouges et vertes indiquent si la communauté estime si le fichier est sain ou malveillant.

Tutoriel VirusTotal : scanner un fichier avec plusieurs antivirus

Recherche de fichier ou URL sur VirusTotal

VirusTotal stocke toutes les analyses antivirus.
Ce qui permet au service VirusTotal d’offrir des statistiques ou d’interroger automatiquement cette base par des applications tiers.
Cette base de données est d’ailleurs disponible depuis l’onglet Rechercher.
Il est possible de retrouver des détections par des adresses WEB (URL), IP, hashs de fichiers ou nom de malwares.

Tutoriel VirusTotal : scanner un fichier avec plusieurs antivirus

Par exemple, il est possible sur une adresse IP, d’obtenir tous les domaines qui lui sont rattachés.
On peut aussi lister tous les fichiers qui ont pu être en lien avec ces domaines.

Tutoriel VirusTotal : scanner un fichier avec plusieurs antivirus

VirusTotal utilisation Avancée

Se reporter à la page : VirusTotal : lecture avancée d’un scan

La partie « Comportement » est un bac à sables (sandbox) qui génère un rapport des actions effectués par le fichier.
On retrouve par exemple la création de processus et de fichiers, les requêtes internet, etc.
Notez qu’un malware avec des fonctionnalités Anti-sandbox doit pouvoir outrepasser cette sandbox.
Cette partie est détaillée et expliquée sur la page : VirusTotal : Comment visualiser le comportement et activité d’un malware

VirusTotal et intégration à des logiciels

Des logiciels d’analyses antivirus peuvent interroger la base VirusTotal afin de transmettre le statut du fichier.
Ainsi les outils comme Process Explorer ou Autoruns intègrent les analyses VirusTotal.
Au final, on peut évaluer les processus en cours d’exécution sur l’ordinateur.

Process Explorer et scan VirusTotal
Process Explorer et scan VirusTotal

Les Limites de VirusTotal

L’analyse des fichiers est statique.
C’est à dire que les antivirus ne procèdent qu’à un scan de la structure du fichier et à aucun moment n’exécute ce dernier.
De ce fait, les analyses comportementales ne sont pas utilisées.
Plus d’informations, sur le fonctionnement de ces analyses, rendez-vous sur la page : les antivirus
D’autre parts, certains moteurs n’utilisent pas les systèmes Cloud Antivirus.

C’est assez flagrant sur cette vidéo où sur l’analyse VirusTotal, Avast! ne détecte pas le fichier.
Alors qu’en réalité, le fichier est bien bloqué par l’antivirus et la partie Cloud.

La partie Sandbox n’est pas non plus présente sur VirusTotal.
En d’autre terme, VirusTotal n’utilise pas l’intégralité des modules de détection d’un antivirus.
Ce service n’utilise que les détections de signatures de fichiers ou détections génériques de fichiers.

Les tutoriels se basant sur VirusTotal ne sont donc pas du tout parlant.
En effet si un antivirus ne détecte pas un malware sur VirusTotal, vous n’êtes pas du tout certains qu’en réalité, l’antivirus en question ne vous en protège pas.

Conclusion

VirusTotal est un outil tout à fait pratique pour avoir une idée générale d’un fichier.
Si de multiples antivirus détectent un fichier comme malveillant, il y a de grandes chances que ce dernier le soit.
En cas de doute, n’hésitez pas à poser la question sur le forum du site, si vous avez besoin d’une contre analyse.

Vous pouvez lire en parallèle page Malwr et Cuckoo : bac à sables (sandbox) qui permet aussi d’aider à déterminer si un fichier est potentiellement malicieux.

(Visité 3 121 fois, 5 visites ce jour)
5.0
01

Add Comment